ESP is IP-protokol 50, gjin TCP-poarte 50: wat te tastean
Protokolnummers en poartenûmers binne ferskate nammeromten. In regel foar TCP-poarte 50 lit neat ta, en NAT-traversal ferpleatst ESP nei UDP 4500.
Firewallformulieren freegje om in TCP-poarte, en de foar de hân lizzende yngong is 50. Dy yngong lit neat ta, want ESP is IP-protokolnûmer 50 en protokolnummers binne gjin poarten. De twa nammeromten diele lytse hiele getallen en neat oars, en de flater bliuwt ûnsichtber oant IKE klear is en it beskerme ferkear nea oankomt.
Twa nammeromten dy’t lytse getallen diele
In IP-kop draacht in protokolfjild dat neamt wat folget: 6 foar TCP, 17 foar UDP, 1 foar ICMP, 50 foar ESP, 51 foar AH. In TCP- of UDP-kop draacht poartenûmers, dy’t in proses op de bestimming-host kieze. Protokol 50 en TCP-poarte 50 binne net besibbe wearden, mar in dialoochfinster kin se útwikselber lykje litte.
Dêrom kin in poartetrochstjoerregel gjin eigen ESP útdrukke. Der is gjin ESP-bestimmingspoarte om troch te stjoeren, en in apparaat dat allinnich poarteregels begrypt, hat hielendal gjin wurdskat foar dat pakket. De goede regel neamt ynstee it IP-protokol. Elk poartedialooch is it ferkearde ynstrumint foar dat pakket.
De betizing hat in twadde helte. As it pakket fersifere is, is alles derbinnen ûntrochsichtig, ynklusyf de TCP-kop fan de oarspronklike ferbining. In firewall dy’t poarten yn dat pakket besjocht, sjocht nei de bûtenste kop, dy’t yn it eigen gefal gjin poarten hat om te besjen.
Eigen ESP, dan it ynkapsele alternatyf
Eigen ESP wurdt direkt as IP-protokol droegen, wat like effisjint as ûnhandich is. It is effisjint om’t der gjin ekstra kop is, en ûnhandich om’t elk apparaat dat adressen en poarten oerset it net folgje kin. NAT-traversal bestiet om dat op te lossen, troch it ESP-pakket yn UDP te wikkeljen sadat de oersetter poarten hat om oer te skriuwen.
| Form on the wire | How it is identified | What the firewall must permit |
|---|---|---|
| IKE negotiation | UDP with a destination port | UDP 500, and 4500 once traversal is detected |
| Native ESP | IP protocol 50 in the outer header | The protocol itself, with no port to name |
| ESP inside UDP | UDP 4500 carrying an ESP payload | The UDP port pair, which translation devices can track |
De twa foarmen binne alternative ynsetten fan itselde datakanaal, net lagen fan ien. Eigen ESP tastean lit de ynkapele foarm net ta, en UDP 4500 tastean lit eigen ferkear net ta, dus in regelset moat by de ynset passe ynstee fan beide by ûngelok te dekken.
Ek it opspoaren is hjir wichtich. De einpunten kieze by de ûnderhanneling tusken de foarmen, en de omskeakeling bart meast as der in NAT tusken harren ûntdekt wurdt. In paad dat feroaret nei’t de tunnel oanlein is, kin dêrom it ferkear ferpleatse nei in nammeromte dat jo regels nea dekt hawwe.
Lês hokker foarm de ferbining eins brûkt
Freegje it einpunt ynstee fan te rieden út de firewall. Op Linux meldt de steatinyngong oft de assosjaasje UDP-ynkapseling brûkt en hokker poarten belutsen binne. In opname beantwurdet deselde fraach fan de tried ôf, en beide binne flugger as in regelset lêze en hoopje.
ip xfrm state | grep -A3 encap
tcpdump -ni any 'ip proto 50 or udp port 4500'It earste kommando toant in ynkapselingstype as NAT-traversal brûkt wurdt en neat as dat net sa is. It twadde toant hokker fan de twa foarmen eins it ynterface oerstekt, en dat besljochtet diskusjes oer in konfiguraasje dy’t op papier goed liket.
Tsjinbewiis heart by deselde stap. In regel dy’t nul treffers meldt, fertelt jo dat it pakket dy nea berikt hat, en dat is in fraach fan rûtes of selektor, net fan firewall.
Befêstigje dan it kontrôlekanaal apart. IKE hat syn eigen poarten en syn eigen logboeken, en in foltôge ûnderhanneling sûnder data is krekt de skieding dêr’t dit artikel oer giet.
Skriuw de regel yn ’e goede nammeromte
In protokolregel en in poartregel binne ferskate opdrachten, dus it ark moat dy útdrukke dy’t jo bedoele. Yn nftables is de protokolfinende oerienkomst eksplisyt, en it ynkapele alternatyf krijt syn eigen UDP-regel. Hâld de twa regels njonkeninoar sadat it pear by de beoardieling sichtber is.
nft add rule inet filter input ip protocol esp accept
nft add rule inet filter input udp dport { 500, 4500 } acceptWjerstean de oanstriid om ien fan beide regels te ferbreedzjen om in ferkearde diagnoaze te kompensearjen. Alles tastean foar it ESP-protokol op elk ynterface, of in UDP-tastimming fan oeral nei oeral, reparearret in symptoom en nimt de kontrôle wei dy’t jo besochten te konfigurearjen. De smelle stipe stream is hast altyd genôch as de foarm ienris bekend is.
Ta beslút, hâld de lagen rjocht as de tunnel wurket en de applikaasje net. Pakketten dy’t by de gateway oankomme, hawwe noch trochstjoering, in weromrûte en in belied nedich dat se talit, en gjin fan dy wurdt útdrukt troch in ESP-regel. De ûntbrekkende poarte ferklearret in spesifike flater, net elke IPsec-flater. Hâld de regekorreksje en de rûtekontrôle as twa aparte konklúzjes.
Skriuw de foarm op dy’t jo waarnommen hawwe, de protokolregel dy’t jo tafoege hawwe en de teller dy’t jo dêrnei seagen. Trije rigels, en de folgjende persoan kin in nammeromteflater yn in minút fan in rûteflater skiede, ynstee fan in middei.